Autoritat de Certificació de la Generalitat Valenciana

Transcripción

1 Direcció General de Telecomunicacions i Investigació Conselleria d Infraestructures i Transport Autoritat de Certificació Política de Certificación de Certificados Reconocidos en dispositivo seguro para ciudadanos Este documento es propiedad. Queda prohibida su reproducción total o parcial sin autorización previa

2 Tabla de Contenido 1. INTRODUCCIÓN VISTA GENERAL IDENTIFICACIÓN COMUNIDAD Y ÁMBITO DE APLICACIÓN Autoridades de Certificación Autoridades de Registro Entidades Finales Ámbito de aplicación DATOS DE CONTACTO Persona de Contacto Determinación adecuación CPS a la Política CLÁUSULAS GENERALES OBLIGACIONES Obligaciones CA Obligaciones RA Obligaciones de los Suscriptores Obligaciones s partes confiantes Obligaciones del repositorio RESPONSABILIDAD Responsabilidad CA Responsabilidad RA RESPONSABILIDAD FINANCIERA Indemnización a las partes confiantes Relaciones fiduciarias Procesos administrativos INTERPRETACIÓN Y EJECUCIÓN Leyes gubernamentales Extinción, subsistencia, fusión, y notificación Procedimientos de resolución de disputas TARIFAS Tarifas de emisión de certificado o renovación Tarifas de acceso a los certificados Tarifas de acceso a la información de estado o revocación Tarifas de otros servicios como información de políticas Política de reintegros PUBLICACIÓN Y REPOSITORIOS Joaquín Galeano OID: Pág. 2 de 43

3 Publicación de información CA Frecuencia de publicación Controles de acceso Repositorios CONTROL DE CONFORMIDAD Frecuencia de los controles de conformidad para cada entidad Identificación/cualificación del auditor Relación entre el auditor y la entidad auditada Tópicos cubiertos por el control de conformidad Acciones a tomar como resultado de una deficiencia Comunicación de resultados POLÍTICA DE CONFIDENCIALIDAD Tipo de información a mantener confidencial Tipo de información no considerada confidencial Divulgación de información de revocación /suspensión de certificados Envío a la autoridad judicial y/o policial Publicación como parte de un descubrimiento civil Divulgación a petición del propietario Otras circunstancias de publicación de información DERECHOS DE PROPIEDAD INTELECTUAL IDENTIFICACIÓN Y AUTENTIFICACIÓN REGISTRO INICIAL Tipos de nombres Necesidad de los nombres de ser significativos Reglas para interpretar varios formatos de nombres Unicidad de los nombres Procedimientos de resolución de disputas de nombres Reconocimiento, autentificación y función s marcas registradas Métodos de prueba de posesión clave privada Autentificación identidad de una organización Autentificación identidad de un individuo RENOVACIÓN RUTINARIA DE LA CLAVE RENOVACIÓN DE CLAVE DESPUÉS DE UNA REVOCACIÓN CLAVE NO COMPROMETIDA SOLICITUD DE REVOCACIÓN REQUERIMIENTOS OPERACIONALES SOLICITUD DE CERTIFICADOS EMISIÓN DE CERTIFICADOS ACEPTACIÓN DE CERTIFICADOS Joaquín Galeano OID: Pág. 3 de 43

4 4.4. SUSPENSIÓN Y REVOCACIÓN DE CERTIFICADOS Circunstancias para la revocación Quién puede solicitar la revocación Procedimiento de solicitud de revocación Periodo de gracia solicitud de revocación Circunstancias para la suspensión Quien puede solicitar la suspensión Procedimiento para la solicitud de suspensión Limites del periodo de suspensión Frecuencia de emisión de CRLs Requisitos de comprobación de CRLs Disponibilidad de comprobación on-line de revocación/estado Requisitos de comprobación on-line de revocación Otras formas de divulgación de revocación disponibles Requisitos de comprobación para otras formas de divulgación de revocación Requisitos especiales de renovación de claves comprometidas PROCEDIMIENTOS DE CONTROL DE SEGURIDAD Tipos de eventos registrados Frecuencia de procesado de logs Periodo de retención para los logs de auditoría Protección de los logs de auditoría Procedimientos de backup de los logs de auditoría Sistema de recogida de información de auditoría (interno vs externo) Notificación al sujeto causa del evento Análisis de vulnerabilidades ARCHIVO DE REGISTROS Tipo de eventos registrados Periodo de retención para el archivo Protección del archivo Procedimientos de backup del archivo Requerimientos para el sellado de tiempo de los registros Sistema de recogida de información de auditoría (interno vs externo) Procedimientos para obtener y verificar información archivada CAMBIO DE CLAVE RECUPERACIÓN EN CASO DE COMPROMISO DE UNA CLAVE O UN DESASTRE Alteración de los recursos hardware, software y/o datos La clave publica de una entidad se revoca La clave de una entidad se compromete Instalación de seguridad después de un desastre natural u otro tipo de desastre Joaquín Galeano OID: Pág. 4 de 43

5 4.9. CESE DE UNA CA CONTROLES DE SEGURIDAD FÍSICA, PROCEDURAL Y DE PERSONAL CONTROLES DE SEGURIDAD FÍSICA Ubicación y construcción Acceso físico Alimentación eléctrica y aire acondicionado Exposición al agua Protección y prevención de incendios Sistema de almacenamiento Eliminación de residuos Backup remoto CONTROLES PROCEDIMENTALES Papeles de confianza Numero de personas requeridas por tarea Identificación y autentificación para cada papel CONTROLES DE SEGURIDAD DE PERSONAL Requerimientos de antecedentes, calificación, experiencia, y acreditación Procedimientos de comprobación de antecedentes Requerimientos de formación Requerimientos y frecuencia actualización formación Frecuencia y secuencia de rotación de tareas Sanciones por acciones no autorizadas Requerimientos de contratación de personal Documentación proporcionada al personal CONTROLES DE SEGURIDAD TÉCNICA GENERACIÓN E INSTALACIÓN DEL PAR DE CLAVES Generación del par de claves Entrega clave privada a la entidad Entrega clave publica al emisor del certificado Entrega clave pública CA a los usuarios Tamaño s claves Parámetros de generación clave pública Comprobación calidad de los parámetros Hardware/software de generación de claves Fines del uso clave PROTECCIÓN DE LA CLAVE PRIVADA Estándares para los módulos criptográficos Control multipersona clave privada Joaquín Galeano OID: Pág. 5 de 43

6 Custodia clave privada Copia de seguridad clave privada Archivo clave privada Introducción clave privada en el módulo criptográfico Método de activación clave privada Método de desactivación clave privada Método de destrucción clave privada OTROS ASPECTOS DE LA GESTIÓN DEL PAR DE CLAVES Archivo clave pública Periodo de uso para las claves públicas y privadas DATOS DE ACTIVACIÓN Generación y activación de los datos de activación Protección de los datos de activación Otros aspectos de los datos de activación CONTROLES DE SEGURIDAD INFORMÁTICA Requerimientos técnicos de seguridad informática específicos Valoración seguridad informática CONTROLES DE SEGURIDAD DEL CICLO DE VIDA Controles de desarrollo del sistema Controles de gestión seguridad Evaluación seguridad del ciclo de vida CONTROLES DE SEGURIDAD DE LA RED CONTROLES DE INGENIERÍA DE LOS MÓDULOS CRIPTOGRÁFICOS PERFILES DE CERTIFICADO Y CRL PERFIL DE CERTIFICADO Número de versión Extensiones del certificado Identificadores de objeto (OID) de los algoritmos Formatos de nombres Restricciones de los nombres Identificador de objeto (OID) Política de certificación Uso extensión Policy Constraints Sintaxis y semántica de los cualificadores de política Tratamiento semántico para la extensión critica Certificate Policy PERFIL DE CRL Número de versión CRL y extensiones ESPECIFICACIÓN DE LA ADMINISTRACIÓN Joaquín Galeano OID: Pág. 6 de 43

7 8.1. PROCEDIMIENTOS DE ESPECIFICACIÓN DE CAMBIOS PROCEDIMIENTOS DE PUBLICACIÓN Y NOTIFICACIÓN PROCEDIMIENTOS DE APROBACIÓN DE LA CPS ANEXO I ANEXO II FORMULARIO DE SOLICITUD DE REVOCACIÓN DE CERTIFICADO Joaquín Galeano OID: Pág. 7 de 43

8 1. INTRODUCCIÓN La presente Política de Certificación es conforme con la especificación del RFC 2527 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework propuesto por S. Chokhani y W. Ford, del Internet Engineering Task Force (IETF), para este tipo de documentos. Se incluyen todas las secciones especificación a fin de dotar de consistencia al documento. Cuando no exista ninguna disposición o limitación respecto de una sección aparecerá la frase No estipulado contenida en dicha sección. Esta Política de Certificación asume que el lector conoce los conceptos básicos de PKI, certificado y firma digital, en caso contrario se recomienda al lector que se forme en el conocimiento de los anteriores conceptos antes de continuar con la lectura del presente documento Vista General Esta Política de certificación contiene las reglas a las que se sujeta el uso de los certificados definidos en esta política. Se describen los papeles, responsabilidades y relaciones entre el usuario final y la Autoridad de Certificación y las reglas de solicitud, adquisición gestión y uso de los certificados. La Política de Certificación referida en este documento se utilizará para la emisión de certificados reconocidos sobre dispositivo seguro de creación de firma tarjeta criptográfica para ciudadanos de la Comunidad Valenciana según la legislación vigente. Mediante los certificados reconocidos y los dispositivos seguros de creación de firma asociados a esta Política de Certificación se generarán firmas electrónicas reconocidas. Para la redacción de esta política se han considerado las siguientes normas: Decreto del Consell 87/2002, de 30 de mayo, por el que se regula la utilización firma electrónica avanzada en la Real Decreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica Proyecto de Ley 121/ sobre Firma electrónica. La entidad involucrada en el uso de los certificados emitidos bajo el amparo presente política es la propia así como las entidades y organismos vinculados a ella, y las Administraciones Públicas o Corporativas con la que haya establecido convenio de certificación. Joaquín Galeano OID: Pág. 8 de 43

9 1.2. Identificación Nombre política Calificador política dispositivo seguro para ciudadanos Certificado reconocido para Ciudadanos expedido por la Autoridad de Certificación Generalitat Valenciana (Pl. Manises 1. CIF S A). CPS y CP en Versión política 1.0 Estado política Referencia política / OID (Object Identifier) Vigente Fecha de emisión 1 de septiembre de 2003 Fecha de expiración CPS relacionada No aplicable. Declaración de Prácticas de Certificación (CPS) PKI. Versión 1.0. OID: Disponible en CPS.pdf Localización Esta Política de certificación se puede encontrar en: Comunidad y Ámbito de aplicación Autoridades de Certificación La CA que puede emitir certificados acordes con esta política es CAGVA perteneciente a la Autoridad de Certificación Autoridades de Registro La lista de Autoridades de Registro que gestionan las solicitudes de certificados definidos en esta política se encuentra en la URL Joaquín Galeano OID: Pág. 9 de 43

10 Entidades Finales Suscriptores El grupo de usuarios que pueden solicitar certificados definidos por esta política está compuesto por cualquier persona física en posesión de los elementos de identificación requeridos (DNI, NIE, etc.). El soporte de claves y certificados es smartcard criptográfica Siemens SLE66CX322P con certificación ITSEC E4 high (Equivalente a CC EAL 5+). En caso de acreditarse otros dispositivos criptográficos serán recogidos en el presente documento, en su punto Hardware/software de generación de claves. Se limita el derecho de solicitud de certificados definido en la presente Política de Certificación a personas físicas. No se aceptarán solicitudes de certificación realizadas en nombre de personas jurídicas, entidades u organizaciones Partes confiantes Se limita el derecho a confiar en los certificados emitidos conforme a la presente política a: Los usuarios de clientes de correo electrónico S/MIME en el ámbito verificación de la identidad del emisor de mensajes de correo electrónico y del cifrado de los mismos. Las aplicaciones y servicios pertenecientes a la, a alguna s entidades u organizaciones vinculados a la Generalitat o a Administraciones Públicas o Corporativas con las que se haya firmado convenio de certificación. Las aplicaciones y servicios que, sin pertenecer a la, entidades u organismos vinculados a ella, ni a Administraciones Públicas ni Corporativas con las que se haya establecido convenio de certificación, se emplean en relaciones entre ciudadanos, empresas u otras Administraciones Públicas con la, entidades u organismos vinculados a ella o Administraciones Públicas con las que se haya establecido convenio de certificación Ámbito de aplicación Usos Permitidos Los certificados emitidos por la Autoridad de Certificación bajo esta Política de Certificación, pueden utilizarse para la firma electrónica y cifrado de cualquier información o documento. Asimismo, pueden utilizarse como mecanismo de identificación ante servicios y aplicaciones informáticas Usos Restringidos No estipulado Joaquín Galeano OID: Pág. 10 de 43

11 Usos Prohibidos Esta prohibido el uso de los certificados emitidos por la Autoridad de Certificación Generalitat Valenciana bajo esta Política de certificación para cualquier uso no especificados por los puntos Usos Permitidos y Usos Restringidos del presente documento Datos de contacto Esta Política de Certificación es propiedad y está administrada por la Secretaria Autonòmica de Telecomunicacions i Societat Informació por sus competencias como Autoridad de Certificación. Nombre Secretaria Autonòmica de Telecomunicacions i Societat Informació Dirección de satsi@gva.es Dirección C/ Colón, Valencia (Spain) Número de teléfono Número de fax Persona de Contacto Para más información relacionada con la presente Política de Certificación por favor contacte con: Nombre Proyecto e-firmagv Dirección de firma@gva.es Dirección C/ Colón, Valencia (Spain) Número de teléfono Número de fax Determinación adecuación CPS a la Política La Autoridad de Certificación es la entidad que determina la adecuación de esta política a la Declaración de Prácticas de Certificación (CPS). Joaquín Galeano OID: Pág. 11 de 43

12 2. Cláusulas Generales 2.1. Obligaciones Obligaciones CA Certificación Generalidad Valenciana. Adicionalmente, las CAs especificadas en el punto Autoridades de Certificación están obligadas a: Adaptar sus operaciones para cumplir lo estipulado por esta Política de Certificación. Emitir certificados en conformidad con esta Política de Certificación Obligaciones RA Certificación Generalidad Valenciana Obligaciones de los Suscriptores Certificación Generalidad Valenciana Obligaciones s partes confiantes Certificación Generalidad Valenciana Obligaciones del repositorio Certificación Generalidad Valenciana Responsabilidad Responsabilidad CA Certificación Generalidad Valenciana. Joaquín Galeano OID: Pág. 12 de 43

13 Responsabilidad RA Certificación Generalidad Valenciana Responsabilidad Financiera Indemnización a las partes confiantes Certificación Generalidad Valenciana Relaciones fiduciarias Certificación Generalidad Valenciana Procesos administrativos Certificación Generalidad Valenciana Interpretación y Ejecución Leyes gubernamentales Certificación Generalidad Valenciana Extinción, subsistencia, fusión, y notificación Certificación Generalidad Valenciana Procedimientos de resolución de disputas Certificación Generalidad Valenciana. Joaquín Galeano OID: Pág. 13 de 43

14 2.5. Tarifas Tarifas de emisión de certificado o renovación No se aplica ninguna tarifa sobre la emisión o renovación de certificados bajo el amparo presente Política de certificación Tarifas de acceso a los certificados El acceso a los certificados emitidos bajo esta política, dada su naturaleza publica, es libre y gratuito y por tanto no hay ninguna tarifa de aplicación sobre el mismo Tarifas de acceso a la información de estado o revocación El acceso a la información de estado o revocación de los certificados es libre y gratuita y por tanto no se aplicará ninguna tarifa Tarifas de otros servicios como información de políticas No se aplicará ninguna tarifa por el servicio de información sobre esta política ni por ningún otro servicio adicional del que se tenga conocimiento en el momento redacción del presente documento Política de reintegros Al no existir ninguna tarifa de aplicación para esta Política de certificación no es necesaria ninguna política de reintegros Publicación y Repositorios Publicación de información CA Certificación Generalidad Valenciana. La presente Política de Certificación es pública y se encuentra disponible, en formato PDF, en la ubicación especificada en el apartado localización del punto 1.2 Identificación del presente documento. Joaquín Galeano OID: Pág. 14 de 43

15 Frecuencia de publicación Certificación Generalidad Valenciana Controles de acceso Certificación Generalidad Valenciana Repositorios Certificación Generalidad Valenciana Control de conformidad Frecuencia de los controles de conformidad para cada entidad Certificación Generalidad Valenciana Identificación/cualificación del auditor Certificación Generalidad Valenciana Relación entre el auditor y la entidad auditada Certificación Generalidad Valenciana Tópicos cubiertos por el control de conformidad Certificación Generalidad Valenciana Acciones a tomar como resultado de una deficiencia Certificación Generalidad Valenciana. Joaquín Galeano OID: Pág. 15 de 43

16 Comunicación de resultados Certificación Generalidad Valenciana Política de Confidencialidad Tipo de información a mantener confidencial Certificación Generalidad Valenciana Tipo de información no considerada confidencial Certificación Generalidad Valenciana Divulgación de información de revocación /suspensión de certificados Certificación Generalidad Valenciana Envío a la autoridad judicial y/o policial Certificación Generalidad Valenciana Publicación como parte de un descubrimiento civil Certificación Generalidad Valenciana Divulgación a petición del propietario Certificación Generalidad Valenciana Otras circunstancias de publicación de información Certificación Generalidad Valenciana. Joaquín Galeano OID: Pág. 16 de 43

17 2.9. Derechos de propiedad Intelectual Todos los derechos de propiedad intelectual presente Política de Certificación pertenecen y permanecerán en propiedad. Joaquín Galeano OID: Pág. 17 de 43

18 3. IDENTIFICACIÓN Y AUTENTIFICACIÓN 3.1. Registro inicial Tipos de nombres Certificación Generalidad Valenciana Necesidad de los nombres de ser significativos Certificación Generalidad Valenciana Reglas para interpretar varios formatos de nombres Certificación Generalidad Valenciana Unicidad de los nombres Certificación Generalidad Valenciana Procedimientos de resolución de disputas de nombres Certificación Generalidad Valenciana Reconocimiento, autentificación y función s marcas registradas Certificación Generalidad Valenciana Métodos de prueba de posesión clave privada Certificación Generalidad Valenciana Autentificación identidad de una organización El derecho de solicitud de certificados definido en la presente Política de Certificación se encuentra limitado a personas físicas. No se aceptarán solicitudes de certificación realizadas en nombre de Joaquín Galeano OID: Pág. 18 de 43

19 personas jurídicas, entidades u organizaciones. Por tanto, no se considera necesaria la identificación de ninguna organización Autentificación identidad de un individuo La autentificación identidad del solicitante de un certificado se realizará mediante la presentación del Documento Nacional de Identidad (DNI) o el Número de Identificación de Extranjeros (NIE) del solicitante ante el Operador de Registro en el momento de solicitar el certificado. Es necesario hacer notar que en este tipo de certificados se incluye la dirección de correo electrónico del suscriptor como elemento necesario para soportar el protocolo S/MIME, pero que la Autoridad de certificación no garantiza que esta dirección de correo esté vinculada con el suscriptor del certificado, por lo que la confianza o no en que esta dirección sea la del titular del certificado corresponde únicamente a la parte confiante. La Autoridad de Certificación únicamente garantiza que la dirección de correo que consta en el certificado fue la aportada por el suscriptor en el momento formalización de su solicitud y/o que consta como vinculada al titular en las bases de datos de personal Renovación rutinaria clave La autenticación para la renovación del certificado se realizará de forma presencial del mismo modo que el la identificación inicial descrita en el punto Está prevista la creación de un mecanismo de renovación telemática disponible desde el web Autoridad de Certificación utilizando solicitudes firmadas digitalmente mediante el certificado original que se pretende renovar y que elimine la necesidad de personarse para la renovación de los certificados, siempre que este no haya vencido ni se haya procedido a su revocación Renovación de clave después de una revocación Clave no comprometida La política de identificación y autenticación para la renovación de un certificado después de una revocación sin compromiso clave será la misma que para el registro inicial descrita en el punto Solicitud de revocación La política de identificación para las solicitudes de revocación acepta los siguientes métodos de identificación: Presencial. Es el mismo que para el registro inicial descrito en el punto Joaquín Galeano OID: Pág. 19 de 43

20 Telemática. Mediante la firma electrónica del formulario de revocación ubicado en la URL Telefónica. Mediante la respuesta a las preguntas realizadas desde el servicio de soporte telefónico disponible en el número La Autoridad de Certificación o cualquiera s entidades que la componen pueden solicitar de oficio la revocación de un certificado si tuvieran el conocimiento o sospecha del compromiso clave privada del suscriptor, o cualquier otro hecho que recomendará emprender dicha acción. Joaquín Galeano OID: Pág. 20 de 43

21 4. REQUERIMIENTOS OPERACIONALES 4.1. Solicitud de certificados El ciudadano que desee que le sea emitido un certificado de acuerdo con esta política de certificación deberá presentarse para solicitarlo en un Punto de Registro Autorizado Autoridad de certificación con su Documento Nacional de Identidad (DNI) o Número de Identificación de Extranjero (NIE) en vigor. El listado de Puntos de registro autorizados se encuentra en la URL Es atribución Autoridad de Registro Autoridad de Certificación el determinar la adecuación de un tipo de certificado a las características del solicitante, en función de las disposiciones Política de Certificación aplicable, y de este modo acceder o denegar la gestión solicitud de certificación del mismo. En el caso de denegación solicitud de certificación por parte del Operador Autoridad de Registro, el solicitante recibirá información de los motivos del rechazo misma Emisión de certificados La emisión del certificado es un proceso que se realiza de forma inmediatamente posterior a la solicitud del mismo y en presencia del solicitante. La emisión del certificado tendrá lugar una vez que el operador del Punto de Registro haya llevado a cabo las verificaciones necesarias para validar la solicitud de certificación. El mecanismo por el que se determina la naturaleza y la forma de realizar dichas comprobaciones es esta Política de Certificación Aceptación de certificados El suscriptor demuestra su aceptación del certificado con la firma del Contrato de Certificación y la recogida del mismo. El Contrato de Certificación es un documento que debe ser firmado manualmente por el solicitante y por la persona adscrita al Registro de usuarios, y cuyo fin es vincular a la persona a certificar con la acción solicitud, con el conocimiento s normas de uso y con la veracidad de los datos presentados. El formulario del Contrato de Certificación se recoge en el Anexo I. Joaquín Galeano OID: Pág. 21 de 43

22 4.4. Suspensión y revocación de certificados Circunstancias para la revocación Certificación Generalidad Valenciana Quién puede solicitar la revocación La revocación de un certificado se puede iniciar tanto por el suscriptor del mismo como por parte propia Autoridad de Certificación. Los suscriptores de certificados pueden solicitar su revocación por cualquier causa y deben solicitarla bajo las condiciones especificadas en el siguiente apartado Procedimiento de solicitud de revocación La Autoridad de Certificación acepta solicitudes de revocación por los siguientes procedimientos Presencial Mediante la presentación en un Punto de Registro de los especificados en el punto de este documento del suscriptor del certificado y su identificación según el mecanismo establecido en el punto y la cumplimentación y firma, por parte del mismo, del Formulario de Solicitud de Revocación que se le proporcionará y del que se adjunta copia en el anexo II Telemático Mediante la firma electrónica del formulario de revocación que se encuentra en la URL Telefónico Mediante llamada telefónica al número de soporte telefónico Autoridad de Certificación En este caso, al no ser posible verificación identidad del solicitante, se procederá a la suspensión inmediata validez del certificado durante un plazo máximo de 15 días naturales, durante los que se procederá a verificar la veracidad solicitud. En el caso de no poder verificar la falsedad solicitud en dicho plazo, se procederá a la revocación definitiva del certificado. Es importante reseñar que el certificado no será válido desde el momento del procesamiento solicitud durante la llamada al centro de soporte. El mecanismo de verificación que se empleará será el envío a la dirección de correo electrónico vinculada al certificado a revocar de un mensaje Joaquín Galeano OID: Pág. 22 de 43

23 advirtiendo del proceso de revocación en curso. Si el legítimo suscriptor del certificado deseara anular dicho proceso deberá enviar una respuesta firmada al mensaje de correo expresando este deseo Periodo de gracia solicitud de revocación Circunstancias para la suspensión Quien puede solicitar la suspensión Procedimiento para la solicitud de suspensión Limites del periodo de suspensión Frecuencia de emisión de CRLs Requisitos de comprobación de CRLs Disponibilidad de comprobación on-line de revocación/estado Joaquín Galeano OID: Pág. 23 de 43

24 Requisitos de comprobación on-line de revocación Otras formas de divulgación de revocación disponibles Además consulta de revocados por medio de Listas de Certificados Revocados (CRL) y por medio del servicio OCSP, es posible comprobar la validez de los certificados por medio de un formulario web que, a partir de una dirección de correo electrónico, devuelve los certificados vinculados a esa dirección y el estado de éstos. Este formulario se encuentra en el sitio web Autoridad de Certificación en la URL Requisitos de comprobación para otras formas de divulgación de revocación Requisitos especiales de renovación de claves comprometidas 4.5. Procedimientos de Control de Seguridad Tipos de eventos registrados Frecuencia de procesado de logs Periodo de retención para los logs de auditoría Joaquín Galeano OID: Pág. 24 de 43

25 Protección de los logs de auditoría Procedimientos de backup de los logs de auditoría Sistema de recogida de información de auditoría (interno vs externo) Notificación al sujeto causa del evento Análisis de vulnerabilidades 4.6. Archivo de registros Tipo de eventos registrados Periodo de retención para el archivo Protección del archivo Joaquín Galeano OID: Pág. 25 de 43

26 Procedimientos de backup del archivo Requerimientos para el sellado de tiempo de los registros Sistema de recogida de información de auditoría (interno vs externo) Procedimientos para obtener y verificar información archivada 4.7. Cambio de Clave No estipulado Recuperación en caso de compromiso de una clave o un desastre Alteración de los recursos hardware, software y/o datos La clave publica de una entidad se revoca La clave de una entidad se compromete Joaquín Galeano OID: Pág. 26 de 43

27 Instalación de seguridad después de un desastre natural u otro tipo de desastre 4.9. Cese de una CA Joaquín Galeano OID: Pág. 27 de 43

28 5. CONTROLES DE SEGURIDAD FÍSICA, PROCEDURAL Y DE PERSONAL 5.1. Controles de Seguridad Física Ubicación y construcción Acceso físico Alimentación eléctrica y aire acondicionado Exposición al agua Protección y prevención de incendios Sistema de almacenamiento Eliminación de residuos Joaquín Galeano OID: Pág. 28 de 43

29 Backup remoto 5.2. Controles procedimentales Papeles de confianza Numero de personas requeridas por tarea Identificación y autentificación para cada papel 5.3. Controles de seguridad de personal Requerimientos de antecedentes, calificación, experiencia, y acreditación Procedimientos de comprobación de antecedentes Requerimientos de formación Joaquín Galeano OID: Pág. 29 de 43

30 Requerimientos y frecuencia actualización formación Frecuencia y secuencia de rotación de tareas Sanciones por acciones no autorizadas Requerimientos de contratación de personal Documentación proporcionada al personal Joaquín Galeano OID: Pág. 30 de 43

31 6. CONTROLES DE SEGURIDAD TÉCNICA 6.1. Generación e Instalación del Par de Claves En este punto se hace siempre referencia a las claves generadas para los certificados emitidos bajo el ámbito presente Política de Certificación. La información sobre las claves s entidades que componen la Autoridad de Certificación se encuentra en el punto 6.1 Declaración de Prácticas de Certificación (CPS) Autoridad de Certificación Generación del par de claves Los pares de claves para los certificados emitidos bajo el ámbito presente Política de Certificación se generan en tarjeta criptográfica del usuario y nunca abandonan la misma Entrega clave privada a la entidad Las claves privadas para los certificados emitidos bajo el ámbito presente Política de Certificación se encuentran contenida en la tarjeta criptográfica que se entrega el suscriptor con su certificado en el momento de su registro Entrega clave publica al emisor del certificado La clave pública a ser certificada es generada en el interior tarjeta criptográfica y es entregada a la Autoridad de Certificación por la Autoridad de Registro mediante el envío de una solicitud de certificación en formato PKCS#10, firmada digitalmente por el Operador Autoridad de Registro Entrega clave pública CA a los usuarios La clave pública Autoridad de Certificación que emite el certificado del suscriptor se puede descargar URL Adicionalmente las claves públicas de todas las CA s pertenecientes a la jerarquía de confianza de PKIGVA se pueden descargar misma URL Tamaño s claves El tamaño s claves para los certificados emitidos bajo el ámbito presente Política de Certificación es de 1024 bits Parámetros de generación clave pública No estipulado. Joaquín Galeano OID: Pág. 31 de 43

32 Comprobación calidad de los parámetros No estipulado Hardware/software de generación de claves La generación s claves se realiza en tarjeta criptográfica, por el chip criptográfico misma. Las tarjetas certificadas para dar soporte a este tipo de certificados son las siguientes: - Siemens SLE66CX322P Fines del uso clave Las claves definidas por la presente política se utilizarán para usos descritos en el punto de este documento Ámbito de aplicación. La definición detallada del perfil de certificado y los usos s claves se encuentra en el apartado 7 de este documento Perfiles de certificado y CRL Protección Clave Privada En este punto se hace siempre referencia a las claves generadas para los certificados emitidos bajo el ámbito presente Política de Certificación. La información sobre las claves s entidades que componen la Autoridad de Certificación se encuentra en el punto 6.2 Declaración de Prácticas de Certificación (CPS) Autoridad de Estándares para los módulos criptográficos Las tarjetas criptográficas empleadas en la emisión de los certificados adscritos a esta Política de Certificación disponen de certificación ITSEC E4 high y soportan los estándares PKCS#11 y CSP Control multipersona clave privada Las claves privadas para los certificados de firma emitidos bajo el ámbito presente Política de Certificación se encuentran bajo el control exclusivo de los suscriptores de los mismos Custodia clave privada Se hace custodia s claves vinculadas a los certificados de cifrado. No se custodian claves privadas de firma de los suscriptores de los certificados definidos por la presente política Copia de seguridad clave privada Para la custodia s claves vinculadas a los certificados de cifrado la Autoridad de Certificación realiza una copia de seguridad de dichas claves. Joaquín Galeano OID: Pág. 32 de 43

33 Archivo clave privada Para la custodia s claves vinculadas a los certificados de cifrado la Autoridad de Certificación almacena la copia de seguridad de dichas claves referida en el punto anterior Introducción clave privada en el módulo criptográfico La generación s claves vinculadas al certificado de firma se realiza en tarjeta criptográfica por el propio chip criptográfico misma y nunca la abandonan. La generación s claves vinculadas al certificado de cifrado y la importación en la tarjeta criptográfica del suscriptor se realiza por el software Autoridad de Certificación Método de activación clave privada La clave privada del suscriptor se activa mediante la introducción del PIN smartcard que la contiene Método de desactivación clave privada La desactivación clave privada del suscriptor se consigue mediante la extracción smartcard que la contiene del lector PC/SC Método de destrucción clave privada No estipulado 6.3. Otros Aspectos Gestión del par de Claves Archivo clave pública Periodo de uso para las claves públicas y privadas Los certificados emitidos al amparo presente política tienen una validez de tres (3) años. El par de claves utilizado para la emisión de los certificados se crea para cada emisión, y por tanto también tienen una validez de tres (3) años. Joaquín Galeano OID: Pág. 33 de 43

34 6.4. Datos de activación Generación y activación de los datos de activación Los datos de activación clave privada consisten en el PIN smartcard que la contiene y que se proporciona al suscriptor del certificado con el mismo. La generación del PIN smartcard se realiza en el momento inicialización misma, comunicándose el dato al suscriptor contenido en un sobre ciego en el momento en que se le hace entrega tarjeta. Es responsabilidad y obligación del suscriptor la modificación de ese PIN preconfigurado por uno de su exclusivo conocimiento de forma inmediata a la recepción smartcard y previa a su primer uso Protección de los datos de activación El suscriptor del certificado es el responsable protección de los datos de activación de su clave privada Otros aspectos de los datos de activación No estipulado Controles de Seguridad Informática Requerimientos técnicos de seguridad informática específicos Valoración seguridad informática 6.6. Controles de Seguridad del Ciclo de Vida Controles de desarrollo del sistema Joaquín Galeano OID: Pág. 34 de 43

35 Controles de gestión seguridad Evaluación seguridad del ciclo de vida 6.7. Controles de Seguridad Red 6.8. Controles de Ingeniería de los Módulos Criptográficos Joaquín Galeano OID: Pág. 35 de 43

36 7. PERFILES DE CERTIFICADO Y CRL 7.1. Perfil de Certificado Esta política de certificación especifica el uso de dos certificados distintos para firma digital y cifrado de datos. El perfil de ambos certificados es idéntico excepto en el apartado Extensiones del certificado. En dicho punto se especifica cuando existen diferencias entre ambos certificados Número de versión La presente política se implementa sobre certificados X.509 versión 3 (X.509 v3) Extensiones del certificado Las extensiones utilizadas por los certificados emitidos bajo el amparo presente política son: Campo Subject SerialNumber GivenName SurName CommonName OrganizationalUnit Organization Country Version Valor NIF del suscriptor. 9 caracteres completados a ceros por la izquierda. Nombre del suscriptor, tal como aparece en el DNI Apellidos del suscriptor, tal como aparece en el DNI Cadena compuesta forma: NOMBRE APELLIDO1 APELLIDO2 NIF:NIFDELSUSCRIPTOR Ciudadanos ES V3 SerialNumber Identificador único del certificado. Menor de 32 caracteres hexadecimales. Algoritmo de firma Issuer (Emisor) CommonName OrganizationalUnit Organization Country Válido desde Válido hasta Clave Pública sha1withrsaencryption CAGVA PKIGVA ES Fecha de Emisión Fecha de Caducidad Octet String conteniendo la clave pública del suscriptor Joaquín Galeano OID: Pág. 36 de 43

37 Extended Key Usage CRL Distribution Point SubjectAlternativeName RFC822Name DirectoryName Certificate Policy Extensions Client Authentication Protection HTTP URI: Correo electrónico del suscriptor CN=Nombre Apellido1 Apellido2 UID=NIF Policy OID Policy CPS Location Policy Notice Authority Information Access Fingerprint issuer Certificado reconocido para Ciudadano expedido por la Autoridad de Certificación (Pl. Manises 1. CIF S A). CPS y CP en C 0354 F272 6B5C 8D1E 71D DD7 1F57 B7DD Algoritmo de hash KeyUsage (críticos) Certificado de Firma Certificado de Cifrado SHA-1 Digital Signature Key Encipherment Data Encipherment Identificadores de objeto (OID) de los algoritmos Identificador de Objeto (OID) de los algoritmos Criptográficos: md5withrsaencryption ( ) SHA1withRSAEncryption ( ) Formatos de nombres Los certificados emitidos bajo la presente política contienen el distinguished name X.500 del emisor y el suscriptor del certificado en los campos issuer name y subject name respectivamente. Joaquín Galeano OID: Pág. 37 de 43

38 Subject name: cn=nombre APELLIDO1 APELLIDO2 NIF:nif, ou=ciudadanos, o=generalitat Valenciana, c=es El campo cn del subject name se cumplimenta obligatoriamente en mayúsculas, prescindiendo de acentos y sustituyendo la letra Ñ por la N y la letra Ç por la C. Esta característica se da únicamente en el atributo CommonName. Issuer name: cn=cagva, ou=pkigva, o=, c=es Restricciones de los nombres Los nombres contenidos en los certificados están restringidos a distinguished names X.500, únicos y no ambiguos Identificador de objeto (OID) Política de certificación El identificador de objeto definido por PKIGVA para identificar la presente política es el siguiente: Uso extensión Policy Constraints No se hace uso extensión Policy Constraints en los certificados emitidos bajo la presente Política de Certificación Sintaxis y semántica de los cualificadores de política No estipulado Tratamiento semántico para la extensión critica Certificate Policy La extensión Certificate Policy identifica la política que define las Prácticas que la Autoridad de Certificación asocia explícitamente con el certificado. Adicionalmente la extensión contiene un cualificador política y una dirección URL de localización misma Perfil de CRL Número de versión El formato s CRLs utilizadas en la presente política es el especificado en la versión 2 (v2) CRL y extensiones La presente Política de Certificación soporta y utiliza CRLs conformes al estándar ITU - X.509. Joaquín Galeano OID: Pág. 38 de 43

39 8. ESPECIFICACIÓN DE LA ADMINISTRACIÓN 8.1. Procedimientos de Especificación de Cambios 8.2. Procedimientos de Publicación y Notificación Cuando se realicen modificaciones significativas en la presente Política de Certificación éstas se notificarán mediante correo electrónico, a los suscriptores de los certificados afectados. En el caso de modificaciones significativas en la Declaración de Prácticas de Certificación Autoridad de Certificación la notificación se hará extensiva a los suscriptores de todos los certificados emitidos. Adicionalmente las modificaciones se harán públicas en el sitio web Autoridad de Certificación en Esta notificación se realizará con anterioridad a la entrada en vigor modificación que la haya producido Procedimientos de Aprobación CPS La Autoridad de Certificación es la entidad encargada aprobación en el momento de su creación presente Política de Certificación (CP), así como Declaración de Prácticas de Certificación (CPS). La Autoridad de Certificación también se encarga de aprobar y autorizar las modificaciones de dichos documentos. Las funciones y competencias Autoridad de Certificación corresponden a la Secretaría Autonómica de Telecomunicaciones y Sociedad Información. Joaquín Galeano OID: Pág. 39 de 43

40 Anexo I CONTRATO DE CERTIFICACIÓN CÓDIGO Sección 1 Datos del solicitante Apellidos:... Nombre:... DNI/NIF:... Dirección correo electrónico:... Dirección postal:... Tel.:... Sección 2 Datos del funcionario adscrito a Registro Nombre y apellidos:... Sección 3 Fecha y Firma Solicito el Certificado asociado a la dispositivo seguro para Ciudadanos con código emitido por la. Declaro conocer y aceptar las normas de utilización de este tipo de certificados que se encuentran expuestos en Declaro, asimismo, que los datos expuestos son verdaderos. En... a... de... de Firma del solicitante Firma del funcionario de Registro Fdo.: Fdo.: Ejemplar para el solicitante - Anverso Joaquín Galeano OID: Pág. 40 de 43

41 CONTRATO DE CERTIFICACIÓN CÓDIGO Condiciones de utilización de los certificados 1. Los certificados asociados a la Política de Certificación para Certificados Reconocidos en dispositivo seguro para Ciudadanos, emitidos por la son del tipo X.509v3 y se rigen por la Declaración de Prácticas de Certificación, en tanto que Prestador de Servicios de Certificación, así como por la Política de Certificación referida. Ambos documentos se deben interpretar según la legislación Comunidad Europea, el Ordenamiento Jurídico Español y la legislación propia. 2. Los solicitantes deberán ser personas físicas, pertenecientes a alguno de los ámbitos de certificación descriptos en y en posesión de un NIF. 3. El solicitante es responsable veracidad de los datos aportados en todo momento a lo largo del proceso de solicitud y registro. Será responsable de comunicar cualquier variación de los datos aportados para la obtención del certificado. 4. El titular del certificado es responsable custodia de su clave privada y de comunicar a la mayor brevedad posible cualquier pérdida o sustracción de esta clave. 5. El titular del certificado es responsable de limitar el uso del certificado a lo dispuesto en la Política de Certificación asociada, que es un documento público y que se encuentra disponible en 6. La, en tanto que Prestador de Servicios de Certificación, no se responsabiliza del contenido de los documentos firmados haciendo uso de los certificados por ella emitidos. 7. La, en tanto que Prestador de Servicios de Certificación, es responsable del cumplimiento s legislaciones Europea, Española y Valenciana, por lo que a Firma Electrónica se refiere. Es, asimismo, responsable del cumplimiento de lo dispuesto en la Declaración de Prácticas de Certificación y en la Política de Certificación asociada a este tipo de certificados. 8. El periodo de validez de estos certificados es de tres (3) años. Para su renovación deberán seguirse el mismo procedimiento que para la primera solicitud o bien los procedimientos previstos en la Política de Certificación asociada. 9. Los certificados emitidos perderán su eficacia, además de al vencimiento del periodo de validez, cuando se produzca una revocación, cuando se inutilice el soporte del certificado, ante resolución judicial o administrativa que ordene la pérdida de eficacia, por inexactitudes graves en los datos aportados por el solicitante y por fallecimiento del titular del certificado. Otras condiciones para la pérdida de eficacia se recogen en la Declaración de Prácticas de Certificación y en la Política de Certificación asociada a este tipo de certificados. 10. La documentación a aportar para la identificación de los solicitantes será el Documento Nacional de Identidad o Pasaporte válido y vigente. Ejemplar para el solicitante - Reverso Joaquín Galeano OID: Pág. 41 de 43

42 CONTRATO DE CERTIFICACIÓN CÓDIGO Sección 1 Datos del solicitante Apellidos:... Nombre:... DNI/NIF:... Dirección correo electrónico:... Dirección postal:... Tel.:... Sección 2 Datos del funcionario adscrito a Registro Nombre y apellidos:... Sección 3 Fecha y Firma Solicito el Certificado asociado a la dispositivo seguro para Ciudadanos con código , emitido por la. Declaro conocer y aceptar las normas de utilización de este tipo de certificados que se encuentran expuestos en Declaro, asimismo, que los datos expuestos son verdaderos. En... a... de... de Firma del solicitante Firma del funcionario de Registro Fdo.: Fdo.: Ejemplar para la Joaquín Galeano OID: Pág. 42 de 43